Üye İşyeri ve POS Terminalinde MASAK İlave Tedbirleri Neler? Uyum Yönetmeliği m.13/3 | 2026
Üye işyeri ve terminal hizmetindeki özel MASAK tedbirlerinin hukuki dayanağı nedir?
Uyum Programı Yönetmeliği m.13/3, terminal aracılığıyla gerçekleştirilen belirli ödeme hizmetlerinde üye işyeri ilişkilerine özel sıkılaştırılmış tedbirler getirir. Hüküm 25 Aralık 2024 tarihli ve 32763 sayılı Resmî Gazete’de yayımlanan değişiklikle eklenmiş ve 25 Şubat 2025 tarihinde yürürlüğe girmiştir. 2026 itibarıyla ödeme hizmeti sağlayıcıların üye işyeri kabul ve izleme süreçlerinde doğrudan uygulanır.
Özel hüküm, genel yüksek risk değerlendirmesinden bağımsız şekilde terminal hizmetinde asgari m.13/1-(a) ila (f) tedbirlerinin uygulanmasını ister. Bu yönüyle kripto varlık hizmet sağlayıcılara ilişkin m.13/2’den daha geniş bir asgari paket öngörür. Bankalar bakımından yalnızca m.13/1-(f) tedbirinin uygulanmayabileceği açıkça belirtilmiştir.
Güncel metin MASAK Yükümlülere İlişkin Mevzuat ve MASAK Mevzuatın Tamamı sayfalarından kontrol edilmelidir. Ödeme hizmeti sağlayıcısı kavramı için Ödeme Hizmeti Sağlayıcısı Kimdir? 6493 m.13 rehberimiz ayrıca incelenebilir.
m.13/3 hangi terminal hizmetlerini kapsar?
Hüküm, 6493 sayılı Kanun m.12/1-(a) ve (b) bentleri ile (c) bendinde yer alan ödeme aracının kabulü hizmeti kapsamında temin edilen terminal aracılığıyla gerçekleştirilen ödeme hizmetini “terminal hizmeti” olarak esas alır. Bu hizmette müşteri, yani üye işyeri ile iş ilişkisi tesis edilirken ve kimlik tespiti gerektiren diğer işlemlerde özel tedbirler uygulanır.
Kapsamın belirlenmesinde cihazın yalnızca fiziksel POS olarak adlandırılması yeterli değildir. Ödeme hizmetinin hukuki niteliği, terminalin kim tarafından temin edildiği, üye işyeri ilişkisi ve tahsilat akışı birlikte değerlendirilmelidir. Sanal POS, mobil terminal veya benzer teknik çözümlerde de 6493 sayılı Kanundaki hizmet niteliği esas alınır.
Üye işyeri kabul süreci, yalnızca ticari sözleşme ve vergi levhası kontrolü değildir. MASAK açısından üye işyerinin kimliği, faaliyet alanı, gerçek faydalanıcısı, beklenen işlem hacmi, terminal kullanım amacı, fon akışı ve risk profili birlikte değerlendirilmelidir.
m.13/1-(a): Üye işyeri hakkında ek bilgi ve daha sık güncelleme
Terminal hizmetinde asgari uygulanacak ilk tedbir, üye işyeri hakkında ilave bilgi alınması ve bilgilerin daha sık güncellenmesidir. Üye işyerinin ticari unvanı, adresi, faaliyet konusu, ortaklık yapısı ve gerçek faydalanıcısına ek olarak satış modeli, mal veya hizmet türü, beklenen ciro, işlem tutarı, işlem adedi, iade oranı ve terminalin kullanılacağı yer gibi bilgiler risk değerlendirmesine dâhil edilebilir.
Bilgiler riskle orantılı sıklıkta güncellenmelidir. Üye işyerinin faaliyet konusu, ortakları, işyeri adresi, internet sitesi, ürün grubu veya işlem hacmi değiştiğinde standart periyodu beklemeden yeniden inceleme gerekir. Özellikle kısa sürede yüksek hacim artışı, üye işyerinin beyan ettiği faaliyetle terminal kullanımının uyumsuz olduğuna işaret edebilir.
Gerçek faydalanıcı bilgilerinin güncelliği de kritik önemdedir. Tüzel kişi üye işyerinin ortaklık zinciri değişmişse eski dosyayla işlem izlemeye devam edilmemelidir. Gerçek faydalanıcı kuralları MASAK Gerçek Faydalanıcı Tespiti rehberimizde açıklanmıştır.
m.13/1-(b): İş ilişkisinin mahiyeti hakkında ilave bilgi
Ödeme hizmeti sağlayıcı, üye işyerinin terminali hangi ekonomik amaçla kullanacağını ve iş modelinin nasıl çalıştığını bilmelidir. Mal veya hizmet satışının niteliği, ortalama işlem tutarı, müşteri kitlesi, satış kanalı, ödeme sıklığı ve beklenen sezonluk değişimler iş ilişkisinin mahiyetini belirler.
Bu bilgiler daha sonra işlem izleme sisteminin referans profilini oluşturur. Örneğin düşük tutarlı perakende satış beyan eden işletmede sürekli çok yüksek tutarlı tek çekim işlemleri görülmesi veya fiziksel mağaza bildiren işletmenin ağırlıklı olarak farklı ülkelerden uzaktan tahsilat yapması yeniden değerlendirme gerektirir.
İş ilişkisinin mahiyeti yalnızca sözleşmenin başında sorulup dosyalanmamalıdır. İş modeli değiştiğinde üye işyeri tarafından bildirim yapılması ve ödeme hizmeti sağlayıcının da işlem verilerinden değişikliği tespit edebilmesi için prosedür kurulmalıdır.
m.13/1-(c): Üye işyerinin malvarlığı ve fon kaynağı nasıl incelenir?
Terminal hizmetinde m.13/1-(c) de asgari tedbirdir. Üye işyerine ait malvarlığı ile işleme konu fonların kaynağı hakkında mümkün olduğu ölçüde bilgi alınır. Burada özellikle terminal üzerinden gerçekleşen tahsilatların gerçek ticari faaliyetle uyumlu olması önemlidir.
Üye işyerinin ciro, finansal tablo, vergi beyanı, stok veya satış yapısı ile terminal işlem hacmi arasında belirgin uyumsuzluk bulunursa ek bilgi ve belge istenmelidir. Fon akışının üçüncü kişilerin faaliyetini gizlemek veya başka işletmelerin tahsilatını geçirmek amacıyla kullanılıp kullanılmadığı değerlendirilmelidir.
Malvarlığı ve fon kaynağı incelemesi bütün üye işyerlerinde aynı yoğunlukta yapılmak zorunda değildir; ancak m.13/3 nedeniyle bu tedbirin uygulanacağı bir süreç mutlaka bulunmalıdır. Belge derinliği üye işyerinin risk seviyesi ve işlem davranışına göre artırılabilir.
m.13/1-(ç): Terminal işleminin amacı nasıl kontrol edilir?
Terminal üzerinden gerçekleştirilen işlemlerin amacı üye işyerinin gerçek mal veya hizmet satışıyla uyumlu olmalıdır. Ödeme hizmeti sağlayıcı, üye işyerinin faaliyet konusu ve tahsilat profili hakkında yeterli bilgiye sahip olmalı; olağandışı işlemlerde ekonomik amacı açıklığa kavuşturmalıdır.
Terminalin nakit temini, borç transferi, finansman sağlama veya gerçek satış bulunmaksızın ödeme aracı olarak kullanılması gibi durumlar, iş ilişkisinin amacıyla uyumsuz olabilir ve ilgili mevzuat bakımından ayrıca değerlendirme gerektirir. İşlem açıklaması, satış kaydı, fatura veya hizmet belgesi riskin niteliğine göre incelenebilir.
İşlem amacının açıklanamaması, sahte veya çelişkili belge, çok sayıda aynı tutarlı işlem veya olağandışı iade davranışı uyum birimi incelemesini gerektirebilir. Şüphe oluşursa ŞİB süreci ayrıca işletilir.
m.13/1-(d) ve (e): Üst düzey onay ve artırılmış izleme nasıl uygulanır?
m.13/3, birinci fıkranın (a) ila (f) bentlerinin tamamını asgari paket yaptığı için iş ilişkisine girilmesi, ilişkinin sürdürülmesi veya belirli işlemin gerçekleştirilmesi üst düzey onaya bağlanabilir ve kontrollerin sayı ve sıklığı artırılır. Kuruluşun prosedürü hangi risk seviyesinde hangi yöneticinin onay vereceğini açıkça belirlemelidir.
Üst düzey onay kararında üye işyerinin faaliyet konusu, gerçek faydalanıcısı, beklenen hacmi, risk göstergeleri ve uygulanacak özel kontroller görülmelidir. Onay yalnızca elektronik kutucuk değil, gerekçeli ve denetlenebilir kayıt olmalıdır.
Artırılmış izleme; günlük veya yakın zamanlı işlem kontrolü, olağandışı tutar ve adet alarmı, yüksek iade veya iptal oranı, çok sayıda karttan yoğun işlem, terminal lokasyon uyumsuzluğu ve beklenen profilden sapma gibi senaryoları içerebilir. Senaryolar üye işyeri sektörüne göre farklılaştırılmalıdır.
m.13/1-(f): İlk finansal hareket tedbiri ve bankalara tanınan istisna
m.13/1-(f), sürekli iş ilişkisi kurulurken ilk finansal hareketin müşterinin tanınması esaslarını uygulayan başka bir finansal kuruluştan yapılmasını zorunlu tutmayı artırılmış tedbir olarak düzenler. m.13/3 terminal hizmetinde bu tedbiri de asgari pakete dâhil eder.
Ancak m.13/3 açık bir istisna getirir: bankalar birinci fıkranın (f) bendindeki tedbiri uygulamayabilir. Bu istisna yalnızca (f) bendi içindir; bankalar terminal hizmetinde (a) ila (e) bentlerindeki diğer asgari artırılmış tedbirlerden muaf değildir.
Ödeme ve elektronik para kuruluşları bakımından ise (f) tedbirinin uygulanmasına ilişkin süreç kurum prosedüründe açık olmalıdır. İlk finansal hareketin hangi finansal kuruluş hesabından geleceği ve hesap sahibinin üye işyeriyle eşleşmesi teknik olarak kontrol edilmelidir.
Terminalin iş ilişkisinin amacına uygun kullanımı neden düzenli kontrol edilmelidir?
m.13/3 yalnızca müşteri kabulünde artırılmış tedbir öngörmez. Terminallerin iş ilişkisinin amacına uygun kullanılıp kullanılmadığının düzenli olarak kontrol edilmesini ayrıca zorunlu kılar. Bu nedenle üye işyeri kabulünde yapılan inceleme, ilişkinin ömrü boyunca devam eden izlemeyle tamamlanmalıdır.
Ödeme hizmeti sağlayıcı, terminal üzerinden geçen işlem örüntüsünü üye işyerinin faaliyet konusu, beklenen ciro ve satış modeliyle karşılaştırmalıdır. Fiziksel lokasyon, işlem saatleri, ortalama tutar, işlem adedi, iade oranı, kart çeşitliliği ve coğrafi dağılım gibi veriler amaca uygunluk kontrolünde kullanılabilir.
İş modelindeki değişiklik otomatik olarak ihlal değildir; ancak güncel bilgi alınması ve risk profilinin yeniden belirlenmesi gerekir. Üye işyeri yeni faaliyet alanına geçmiş veya satış kanalını değiştirmişse sözleşme, lisans ve risk kontrolleri buna göre güncellenmelidir.
Terminalin başka kişilere kullandırılması nasıl kontrol edilir?
m.13/3, ilgili mevzuatın izin verdiği hâller dışında terminalin başka kişilere kullandırılmadığının düzenli kontrolünü açıkça zorunlu kılar. Bu hüküm, üçüncü kişilerin kendi satışlarını başka bir üye işyerinin terminali üzerinden geçirmesi gibi riskleri hedefler.
Kontrol için terminal lokasyonu, üye işyerinin faaliyet adresi, işlem açıklamaları, satış belgeleri, müşteri şikâyetleri, yoğunlaşma verileri ve sektör bilgileri birlikte kullanılabilir. Bir terminalin farklı işletmelerce kullanıldığına işaret eden örüntüler teknik alarm konusu yapılmalıdır.
Başkasına kullandırma tespiti, yalnızca sözleşmesel ihlal olarak ele alınmamalıdır. İşlemlerin gerçek ekonomik tarafının gizlenmesi, fon akışının farklı kişiye aktarılması veya müşteri tanıma sisteminin etkisizleşmesi nedeniyle MASAK riski doğurabilir.
Aykırılık tespit edilirse iş ilişkisine son verilmesi zorunlu mu?
m.13/3, terminalin amaca aykırı kullanımı veya mevzuatın izin vermediği şekilde başka kişilere kullandırılması gibi aykırılıklar tespit edildiğinde iş ilişkisine son verilmesi de dâhil olmak üzere gerekli tedbirlerin alınmasını emreder. Hüküm her aykırılıkta otomatik ve tek sonuç olarak fesih öngörmez; ancak riskin ağırlığına göre fesih seçeneğinin değerlendirilmesini zorunlu kılar.
Kuruluşun aykırılık derecelendirme sistemi olmalıdır. Teknik hata veya düzeltilebilir belge eksikliğiyle bilinçli terminal kullandırma aynı seviyede ele alınmamalıdır. Bununla birlikte ağır, tekrarlanan veya ekonomik amacı gizleyen ihlallerde ilişkinin sürdürülmesi ciddi uyum riski doğurur.
Karar ve gerekçesi kaydedilmelidir. Düzeltici tedbir, işlem limiti, geçici durdurma, ilave belge, yeniden risk sınıflandırma veya sözleşmenin sona erdirilmesi gibi önlemler hangi bulguya dayandığıyla birlikte dosyalanmalıdır.
Üye işyeri izleme sistemi hangi göstergeleri takip etmelidir?
İzleme sistemi üye işyerinin sektörüne ve beklenen işlem profiline göre özelleştirilmelidir. İşlem hacminde ani artış, alışılmadık saatlerde yoğunluk, aynı kartlarla tekrarlayan işlemler, çok sayıda küçük işlem, olağandışı iade/iptal oranı, terminal lokasyon değişikliği veya sektör ortalamasından belirgin sapma alarm göstergesi olabilir.
İşlem tutarı kadar işlem adedi ve müşteri çeşitliliği de önemlidir. Üye işyerinin beyan ettiği ticari modelle uyuşmayan kart kullanıcı yoğunluğu, uzak coğrafyadan işlemler veya kısa sürede yüksek hacimli tahsilat ek inceleme gerektirebilir.
Alarm sonuçları risk modeline geri beslenmelidir. Sürekli alarm üreten üye işyerinin risk sınıfı yeniden değerlendirilirken, yanlış alarm üreten senaryolar da kalibre edilmelidir. İzleme sistemi yalnızca alarm üretmek değil, riskin gerçekten anlaşılmasını sağlamak amacıyla kullanılmalıdır.
2026 için üye işyeri terminal uyum kontrol listesi
Birinci adım üye işyerinin kimlik, ortaklık, gerçek faydalanıcı ve faaliyet bilgilerinin tam alınmasıdır. İkinci adım beklenen terminal kullanım amacı, işlem hacmi, tutar, adet ve lokasyon profilinin belirlenmesidir. Üçüncü adım m.13/1-(a) ila (f) tedbirlerinin prosedüre bağlanmasıdır.
Dördüncü adım üst düzey onay seviyeleri ve banka bakımından (f) istisnasının doğru uygulanmasıdır. Beşinci adım terminal lokasyonu ve kullanım amacının teknik izleme sistemine aktarılmasıdır. Altıncı adım başka kişilere kullandırma riskine yönelik alarm senaryolarıdır.
Yedinci adım periyodik üye işyeri bilgi güncellemesi; sekizinci adım alarm ve saha/masa başı kontrolleridir. Dokuzuncu adım aykırılık derecelendirmesi ve ilişkiyi sonlandırma dâhil aksiyon matrisi; onuncu adım iç denetim ve yönetim kurulu raporlamasıdır.
Ödeme hizmetleri alanındaki temel hukuki yapı için Ödeme Hizmeti Sağlayıcısı Kimdir? ve yüksek risk tedbirlerinin genel çerçevesi için MASAK Yüksek Riskli Müşteride İlave Tedbirler rehberlerimiz incelenebilir.
Sık sorulan sorular
1. Üye işyeri terminal hizmetinde hangi m.13 tedbirleri asgari uygulanır?
Uyum Yönetmeliği m.13/3 uyarınca birinci fıkranın (a) ila (f) bentlerindeki tedbirlerin tamamı asgari olarak uygulanır.
2. Bankalar da (f) bendini uygulamak zorunda mı?
Hayır. m.13/3 açıkça bankaların m.13/1-(f) tedbirini uygulamayabileceğini düzenler.
3. Terminalin amaca uygun kullanımı kontrol edilmeli mi?
Evet. Terminallerin iş ilişkisinin amacına uygun kullanıldığı düzenli olarak kontrol edilmek zorundadır.
4. POS terminali başka işyerine kullandırılabilir mi?
İlgili mevzuatın izin verdiği hâller dışında başka kişilere kullandırılmadığı düzenli olarak kontrol edilir.
5. Aykırılıkta iş ilişkisi sona erdirilebilir mi?
Evet. m.13/3 iş ilişkisine son verilmesi de dâhil gerekli tedbirlerin alınmasını öngörür.
6. Üye işyerinin gerçek faydalanıcısı tespit edilir mi?
Evet. Tüzel kişi müşteri bakımından gerçek faydalanıcının tespiti Tedbirler Yönetmeliği kapsamındaki temel müşteri tanıma yükümlülüğüdür.
7. Üye işyeri yalnızca kabul sırasında mı incelenir?
Hayır. Terminalin kullanım amacı ve başka kişilere kullandırılma riski sürekli iş ilişkisi boyunca düzenli kontrol edilmelidir.
8. m.13/3 ne zaman yürürlüğe girdi?
25 Aralık 2024 tarihli değişiklikle eklenen hüküm 25 Şubat 2025 tarihinde yürürlüğe girdi.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
